GitLab 在一份公告中表示，GitLab 的 AI 网关存在一个关键漏洞，可能让具有 Duo Agent Platform 访问权限的登录用户在特定条件下在网关上运行命令。
该网关是将 GitLab 实例与 AI 模型连接的服务，只有托管自己网关的组织需要采取行动。该漏洞已在网关版本 19.2.4、19.3.2 和 19.4.1 中修复。
该漏洞的追踪 ID 为 CVE-2026-90970。GitLab 于 10 月 2 日披露了该漏洞，并将其评级为关键，CVSS 分数为 10 分中的 9.9。
GitLab 为其客户运行 AI 网关，并已对此进行了修复。使用 GitLab 托管网关的 GitLab.com、GitLab Dedicated 和自管理实例的客户无需采取行动，公司表示。
自管理客户可以选择托管自己的网关，这是 GitLab 提供的一种选项，以将 AI 请求和响应数据保留在客户自己的环境中。GitLab 强烈建议这些客户立即更新。它在发布公告之前已向使用自托管网关的客户发送了该指导。
公告没有说明该漏洞是否已被用于攻击。美国网络安全和基础设施安全局（CISA）在 10 月 2 日对 CVE 记录进行了评估，列出了利用情况为“无”。CISA 的其他两个值涵盖了公开概念证明和主动利用。
受影响和修复版本
以下版本为 AI 网关版本。该网关作为其自己的 Docker 镜像或 Helm 图表安装，并具有自己的更新步骤。
使用中的网关版本
首次修复版本
18.1.6 或更高版本，低于 19.2.4
19.2.4
19.3，低于 19.3.2
19.3.2
19.4，低于 19.4.1
19.4.1
要更新 Docker 部署，请停止并删除正在运行的容器，然后拉取并运行新的镜像标签，例如 self-hosted-v19.4.1-ee。Helm 部署在图表的镜像设置中设置新标签。
在 19.2.4 以下未列出修复版本。这使得从 18.1.6 到 19.1 版本的每个网关版本都在受影响范围内。
GitLab 的安装指南告诉管理员使用与其 GitLab 次要版本匹配的网关镜像。公告没有说明 19.2.4 网关是否与 GitLab 19.1 或更早版本兼容，或者是否计划为旧版本提供修复。
截至 10 月 2 日，GitLab 的维护政策列出了 19.4、19.3 和 19.2 作为获得安全修复的 GitLab 版本。这三条线与获得网关修复的版本相同。
未列出无法更新的网关的解决方法。公告也没有提供检查网关在更新之前是否被攻击的方法。
关于该漏洞的已知信息
根据公告的标题，该漏洞存在于自定义流程的提示模板中。自定义流程是用户在 Duo Agent Platform 上创建的 AI 驱动工作流，用于自动化多步骤任务。
具有 Duo Agent Platform 访问权限的登录用户可能利用该漏洞“通过特殊构造的流程配置逃离提示模板沙箱，”GitLab 表示。该逃逸可能导致在网关上执行任意命令。
攻击所需的条件没有描述，除了 Duo Agent Platform 访问权限外，没有提及其他用户角色。
自托管网关持有 JSON Web Tokens (JWT) 的签名密钥，GitLab 的安装指南表示必须将其视为敏感凭证。它还连接到 GitLab 实例和组织的 AI 模型提供者。
GitLab 感谢 HackerOne 用户 invisiblemeerkat 报告了该漏洞。
在 2 月，GitLab 修复了另一个网关漏洞 CVE-2026-1868，该漏洞也被评为 9.9。登录用户可以通过构造的流程定义达到该漏洞，可能导致服务拒绝或在网关上执行代码。
这两个漏洞都是同类的模板引擎弱点，CWE-1336。新的公告没有提到 2 月的漏洞。
觉得这篇文章有趣吗？请在 Google News、Twitter 和 LinkedIn 上关注我们，阅读更多我们发布的独家内容。